«SOC 2 чи ISO 27001?» — питання, яке постає перед кожною українською IT-компанією, що виходить на міжнародний ринок. Обидва стандарти стосуються інформаційної безпеки, обидва вимагають клієнти, і обидва коштують грошей та часу. У цій статті порівнюємо SOC 2 vs ISO 27001 за суттю, географією, структурою, вартістю і термінами — й пояснюємо, як ухвалити рішення.
Головна відмінність у двох реченнях
ISO 27001 — це міжнародний стандарт системи управління інформаційною безпекою (СУІБ). Компанія будує систему, орган сертифікації перевіряє її відповідність стандарту і видає сертифікат на 3 роки з щорічними наглядовими аудитами.
SOC 2 — це атестаційний звіт, який видає незалежна ліцензована CPA-фірма у США за стандартами AICPA. Аудитор оцінює контролі компанії відносно критеріїв довірчих послуг (TSC) і викладає свою думку в докладному звіті. Сертифіката немає — є звіт, який ви передаєте клієнтам.
Порівняльна таблиця
| Параметр | SOC 2 | ISO 27001 |
|---|---|---|
| Природа | Атестаційний звіт аудитора | Сертифікат відповідності стандарту |
| Хто видає | Ліцензована CPA-фірма (США) | Акредитований орган сертифікації |
| Основний ринок | США, Канада; дедалі частіше — глобальні SaaS | Європа, Велика Британія, Азія, держсектор |
| Основа | 5 критеріїв TSC; Безпека обов'язкова | Вимоги пунктів 4–10 та 93 контролі Додатка A |
| Гнучкість | Компанія сама визначає контролі під критерії | Структурований перелік контролів, застосовність обґрунтовується в SoA |
| Результат | Докладний звіт (десятки сторінок) під NDA | Сертифікат (1 сторінка), публічний |
| Термін дії | Type 1 — на дату; Type 2 — період, оновлення щороку | 3 роки з наглядовими аудитами щороку |
| Час до результату | Type 1: 2–4 міс.; Type 2: 6–12 міс. | Зазвичай 4–8 міс. |
| Орієнтовна вартість аудиту (СМБ) | Type 1: $8–20 тис.; Type 2: $15–40 тис. | Залежить від органу та розміру; зазвичай нижча за SOC 2 Type 2 |
Географія: хто що питає
Правило просте. Якщо ваші клієнти — американські компанії, особливо enterprise, вони питатимуть про SOC 2; ISO 27001 вони сприймуть позитивно, але найчастіше не як заміну. Якщо клієнти — європейські, британські або державні організації, вони звикли до ISO 27001 і не завжди знають, як читати SOC 2 звіт. Для британського ринку додатково часто просять Cyber Essentials.
Для українських аутсорсингових компаній, що працюють одночасно з США і ЄС, типова ситуація — потреба в обох. Саме тому ми пропонуємо пакет SOC 2 + ISO 27001 на спільній базі контролів.
Структура: критерії проти системи управління
SOC 2
Стандарт описує що має бути досягнуто (наприклад, «організація обмежує логічний доступ до системи уповноваженими користувачами»), але не каже, як саме. Компанія сама проєктує контролі, а аудитор оцінює, чи вони адекватні й чи працюють. Це дає гнучкість, але вимагає експертизи при проєктуванні. Докладніше про критерії — у статті Trust Services Criteria.
ISO 27001
Стандарт вимагає побудувати систему управління: контекст організації, лідерство, оцінювання ризиків, цілі, ресурси, внутрішні аудити, аналіз з боку керівництва, постійне поліпшення. Плюс Додаток A з переліком контролів, застосовність яких ви обґрунтовуєте в Заяві про застосовність (SoA). Це більш «процесний» стандарт: він перевіряє, чи вмієте ви керувати безпекою як системою, а не лише чи налаштований MFA.
Що у звіті vs що в сертифікаті
Це суттєва практична різниця для ваших клієнтів. Сертифікат ISO 27001 каже: «система відповідає стандарту». Служба безпеки клієнта бачить одну сторінку і обсяг сертифікації. SOC 2 звіт — це 40–100 сторінок з описом системи, переліком контролів і результатами тестування кожного. Американські клієнти цінують саме цю деталізацію: вони самі вирішують, чи прийнятні знайдені винятки. Європейські клієнти часто віддають перевагу простоті сертифіката.
Перекриття: наскільки один допомагає іншому
Добра новина: значна частина контролів спільна. Управління доступом, криптографія, резервне копіювання, журналювання, управління змінами, реагування на інциденти, безпека персоналу, робота з постачальниками — усе це потрібно і для SOC 2, і для ISO 27001. За нашим досвідом, компанія, яка добре підготувалася до одного стандарту, закриває більшу частину вимог іншого.
Відмінності зосереджені переважно у «надбудові»:
- ISO 27001 додатково вимагає формальну методологію оцінювання ризиків, внутрішні аудити, аналіз з боку керівництва, SoA, програму постійного поліпшення.
- SOC 2 вимагає докладного опису системи, твердження керівництва, специфічних контролів під обрані критерії (наприклад, моніторинг SLA для Доступності) і, для Type 2, безперервного збору доказів протягом періоду.
Коли обирати SOC 2
- Основні клієнти — у США або Канаді.
- Ви SaaS-компанія, і вимога SOC 2 уже є в анкетах безпеки або договорах.
- Клієнти хочуть бачити деталі контролів, а не лише факт сертифікації.
- Потрібен швидкий перший результат — Type 1 можна отримати за 2–4 місяці.
Коли обирати ISO 27001
- Основні клієнти — у Європі, Великій Британії, на Близькому Сході або в Азії.
- Ви берете участь у тендерах, де ISO 27001 — формальний кваліфікаційний критерій.
- Вам потрібен публічний сертифікат, який можна розмістити на сайті.
- Ви хочете побудувати системне управління ризиками, а не лише набір контролів.
- Ви також обробляєте персональні дані європейців і паралельно працюєте над GDPR — системний підхід ISO добре з цим поєднується.
Коли варто робити обидва
Якщо ви працюєте на обох ринках, найефективніше готуватися одночасно. Ви один раз проєктуєте контролі, пишете єдиний комплект політик із відповідністю обом стандартам, один раз збираєте докази — і проходите два аудити з різними видавцями: CPA-фірму для SOC 2 і орган сертифікації для ISO 27001. Сумарна вартість підготовки виходить суттєво нижчою, ніж два окремі проєкти, а команда переживає одне «впровадження» замість двох.
Рекомендована послідовність у такому разі: gap-аналіз під обидва стандарти → впровадження спільних контролів → SOC 2 Type 1 та сертифікаційний аудит ISO 27001 приблизно в один час → період спостереження → SOC 2 Type 2.
Короткий чек-лист для рішення
- Звідки ваші клієнти та які вимоги вже є у договорах і анкетах?
- Чи потрібен публічний сертифікат або деталізований звіт?
- Який горизонт: перший результат за 3 місяці чи система на роки?
- Чи є бюджет на два аудити зараз, або краще почати з одного?
Базові поняття SOC 2 — у статті що таке SOC 2, а про структуру витрат — у матеріалі скільки коштує SOC 2.
Вагаєтеся між SOC 2 та ISO 27001 або плануєте обидва? Опишіть нам ринок, клієнтів і поточний стан безпеки — ми порекомендуємо оптимальний шлях і розрахуємо підготовку. Отримати консультацію.